Problème Vista

Question

Bonjour, 

A la base je voulais faire un scan avec Avast, il ma dit qu'il valai mieux faire un scan de démarage (le scan avant que windows ne démarre (écritures blanches sur fond noir)). Il a trouvé pas mal de fichiers "infectés" et j'ai tout mis en quarentaine, après ça, il a redémarré windows et la le m*rdier à commencé avec un premier écran bleu, je redémarre en mode sans échec, je supprime deux trois fichiers mis en quarentaine que je connaissait, je remet les fichiers qui étaient dans C:/Windows à leur place car j'imagine que tout ce qui s'y trouve a son importance.
Je redémarre et écran bleu.
Je redémarre en sans échec avec réseau, j'envoie le rapport d'erreure et je remet tout ce qui était en quarentaine a leur place.
Je redémarre et écran bleu
Je redémarre en sans échec, et je cherche les erreures de registe avec CCleaner (il y avait des .dll manquants) je réparre et je redémarre et toujours la même m*rde.

Que faire? 

Configuration: Linux / Firefox 3.6.10

juju666 · Answer

Hello,

Depuis le mode sans échec :

Nous allons effectuer un diagnostic de ton PC:
&#9654 Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
ou :
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

&#9654 Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

 /!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur » 

&#9654 Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
&#9654 Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
&#9654 Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://pjjoint.malekal.com/

Si indispo:
http://www.cijoint.fr/
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou :
https://www.cjoint.com/
ou :
https://www.casimages.com/

&#9654 Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html 


Hébergement de rapport sur pjjoint.malekal.com

&#9654 Rends toi sur pjjoint.malekal.com
&#9654 Clique sur le bouton Parcourir
&#9654 Sélectionne le fichier que tu veux heberger et clique sur Ouvrir
&#9654 Clique sur le bouton Envoyer
&#9654 Un message de confirmation s'affiche (L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015 Copie le lien dans ta prochaine réponse.

sysyl19 · Answer

Merci de ta réponce aussi rapide, voila le lien :

https://pjjoint.malekal.com/files.php?id=1ded96fa43101010

juju666 · Answer

Cela confirme ma pensée.
Tu es très infectée

Rootkit TDSS.TDL4
Adwares
Infection USB

============================

En espérant qu'il ne soit pas contré :

&#9654 Télécharge TDSS Killer (de Kaspersky Labs) sur ton Bureau   
&#9654 Double-clique sur tdsskiller.exe (sous Vista/Seven, clic droit   
dessus, et sur exécuter en tant qu'administrateur)   
&#9654 Clique sur Start Scan 
   
&#9654 &#9654 Si TDSS.tdl2 est détecté l'option delete sera cochée par défaut. 
&#9654 &#9654 Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée. 
&#9654 &#9654 Si TDSS.tdl4(\HardDisk0\MBR) est détecté assure toi que Cure est bien cochée. 
&#9654 &#9654 Si Suspicious file est indiqué, laisse l'option cochée sur Skip  

&#9654 A la fin clique sur Reboot Now   
&#9654 Le PC va redémarrer, et un rapport va s'ouvrir   
&#9654 Copie/colle le rapport (il est sauvegardé dans C:\TDSS Killer   
N° de version_Date_Heure_log.txt)   

====================================

Télécharge et exécute ça: http://sd-1.archive-host.com/membres/up/17959594961240255/FixShellQuietly.exe
C'est silencieux, tu ne verras rien, il ne se passera rien. 
Redémarre ton pc. Tu devrais pouvoir accéder au mode normal.

sysyl19 · Answer

Alors Kaspersky n'a rien trouvé et j'ai éxécuté l'autre logiciel (que je n'ai rien vu faire comme prévu), je pense que kaspersky n'a rien trouvé parce que je suis en mode sans échec avec réseau.
Maintenant je redémarre mon pc pour aller au mode normal en espérant qu'il ne fera pas de BSoD.

sysyl19 · Answer

Alors, il s'est démarré normalement avec la barre des taches en premier, le fond d'écran et ensuite les icone qui, elles, clignotaient (elles devenaient des feuilles blanches et redevenaient normales tout le temps) ensuite avast à ouvert une fenetre en demandant si je  voulais lancer un programme apppelé windows.exe dans la sandbox, j'ai attendu un peu  et au bout de 10 ou 20 secondes, BlueScreen.
J'ai redémarré mon ordi en essayant une option qu'il n'y avait pas avant qui doit redémarrer avec les réglages de la dèrnière fois qu'il avait bien démarré.
Et a l'instant il vient de faire un BS.
Je redémarre en sans echec avec réseau.

juju666 · Answer

Ouais, le rootkit .... Et c'est la dernière variante; ça va être chouette :P

&#9654  Sauvegarde tes données importantes car on est pas à l'abri d'un plantage.
&#9654 Télécharge et dézippe BurnCDCC.zip ---> ftp://terabyteunlimited.com/burncdcc.zip
&#9654 Télécharge Super Grub : http://download.linux-live-cd.org/Super_Grub_Disk/download/binaries/sgd/cdrom/super_grub_disk_0.9799.iso
&#9654 Avec l'onglet "browse", sélectionne super_grub_disk_0.9799.iso que tu viens de télécharger

&#9654 &#9654 coche alors "read verify" , "Finalyze" et "autoeject"

&#9654 Déplace sous speed le curseur pour le mettre à 32X , insère un cd vierge et clic start

&#9654 Boot dessus et choisi avec les flèches de ton clavier ?WIN=> MBR & !WIN!

Aide en image : http://imagesup.org/image

sysyl19 · Answer

Hey bien là il ne s'allume plus
Il reste tout noir quand j'appui sur démarrer

juju666 · Answer

non. ça n'a pas marché donc.

En mode sans échec :

desactive tes protections 

telecharge ici : 

MBR_Repair 

enregistre-le sur ton bureau , 

lance-le , choisis "Repair" 

choisis "Vista" 

ton pc va redémarrer 

à ton retour , relance MBR_Repair puis fais l'option "Verify" 

MBR_Verify.txt se mettra sur ton bureau poste ici son contenu

sysyl19 · Answer

ok, je fait ca

sysyl19 · Answer

Si il redémarre en normal, il va s'en prendre un beau :S

juju666 · Answer

meuh non :D

sysyl19 · Answer

Et si, ils me font peur quant ils viennent ces s*lopards de BS :'(

juju666 · Answer

Montre moi le contenu de MBR_Verify.txt stp

sysyl19 · Answer

ok, 2 sec

sysyl19 · Answer

¤¤¤¤¤¤¤¤¤ MBR_Repair | Verify | 1.0.0.1¤¤¤¤¤¤¤¤¤¤

Mis à jour le 10/04/2011 | 16.30 par g3n-h@ckm@n

Utilisateur : acer (Administrateurs)
Ordinateur : PC-DE-ACER

Système d'exploitation : Windows Vista (TM) Home Premium (32 bits)

Scan : 16:14:16 | 23/04/2011

MBRCheck, version 1.2.3

(c) 2010, AD



Command-line:			-za MBR.bin 

Windows Version:		Windows Vista Home Premium Edition

Windows Information:		Service Pack 2 (build 6002), 32-bit

Base Board Manufacturer:	Acer

BIOS Manufacturer:		Acer

System Manufacturer:		Acer

System Product Name:		Aspire 3100

Logical Drives Mask:		0x0000000c



Analysis of file "MBR.bin":

Windows 2008 MBR code detected





Done!

juju666 · Answer

c'est vraiment étrange ça ....
à moins que les BSOD viennent d'autre chose ...

&#9654 Télécharge Blue screen View :

ouvre ce lien http://www.nirsoft.net/utils/blue_screen_view.html

&#9654 Clique sur Download BlueScreenView with full install/uninstall support

&#9654 Enregistre le fichier sur ton Bureau.

&#9654 Clic droit sur l'exe choisir Executer en tant qu'administrateur pour le lancer.

&#9654 A la fin du scan, , clique sur Edit puis Select All.
&#9654 Puis : File et Save Selected Items.

&#9654 Sauve le rapport sous BSOD.txt.

&#9654 Ouvre BSOD.txt dans le Bloc-notes, copie son contenu et poste le dans ta réponse.

sysyl19 · Answer

==================================================
Dump File         : Mini042311-06.dmp
Crash Time        : 23/04/2011 16:12:02
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x8b0abe9f
Parameter 3       : 0x9a2acadc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042311-06.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042311-05.dmp
Crash Time        : 23/04/2011 16:02:15
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x93693e9f
Parameter 3       : 0x9b110adc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042311-05.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042311-04.dmp
Crash Time        : 23/04/2011 14:46:47
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x93ae6e9f
Parameter 3       : 0x9e303adc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042311-04.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042311-03.dmp
Crash Time        : 23/04/2011 14:41:25
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x896dce9f
Parameter 3       : 0xa3b78adc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042311-03.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042311-02.dmp
Crash Time        : 23/04/2011 14:01:22
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x8972ee9f
Parameter 3       : 0x9e81badc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042311-02.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042311-01.dmp
Crash Time        : 23/04/2011 08:37:06
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x89d24e9f
Parameter 3       : 0x9ce3cadc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042311-01.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042211-07.dmp
Crash Time        : 22/04/2011 18:52:44
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x89732e9f
Parameter 3       : 0x9bcc0adc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042211-07.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042211-06.dmp
Crash Time        : 22/04/2011 16:26:23
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x89749e9f
Parameter 3       : 0x9cef5adc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042211-06.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042211-05.dmp
Crash Time        : 22/04/2011 16:12:04
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x89949e9f
Parameter 3       : 0x8883fadc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042211-05.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042211-04.dmp
Crash Time        : 22/04/2011 15:54:20
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x8b0e2e9f
Parameter 3       : 0x9f9e5adc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042211-04.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042211-03.dmp
Crash Time        : 22/04/2011 15:43:25
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x8b0e6e9f
Parameter 3       : 0x97cacadc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042211-03.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042211-02.dmp
Crash Time        : 22/04/2011 15:38:28
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x8aee6e9f
Parameter 3       : 0x977b8adc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042211-02.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 088
==================================================

==================================================
Dump File         : Mini042211-01.dmp
Crash Time        : 22/04/2011 15:33:49
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x8b2e6e9f
Parameter 3       : 0x9f5a8adc
Parameter 4       : 0x00000000
Caused By Driver  : aswSP.SYS
Caused By Address : aswSP.SYS+11e9f
File Description  : avast! self protection module
Product Name      : avast! Antivirus System
Company           : AVAST Software
File Version      : 6.0.1091.0
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini042211-01.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 152
==================================================

==================================================
Dump File         : Mini032411-01.dmp
Crash Time        : 24/03/2011 18:53:58
Bug Check String  : KERNEL_MODE_EXCEPTION_NOT_HANDLED
Bug Check Code    : 0x1000008e
Parameter 1       : 0xc0000005
Parameter 2       : 0x81934338
Parameter 3       : 0xa32a1b08
Parameter 4       : 0x00000000
Caused By Driver  : win32k.sys
Caused By Address : win32k.sys+94338
File Description  : Pilote Win32 multi-utilisateurs
Product Name      : Système d'exploitation Microsoft® Windows®
Company           : Microsoft Corporation
File Version      : 6.0.6000.16386 (vista_rtm.061101-2205)
Processor         : 32-bit
Computer Name     : 
Full Path         : C:\Windows\Minidump\Mini032411-01.dmp
Processors Count  : 1
Major Version     : 15
Minor Version     : 6002
Dump File Size    : 141 440
==================================================

juju666 · Answer

Mdr ... désinstalle avast : https://www.avast.com/fr-fr/uninstall-utility

sysyl19 · Answer

C'est Avast qui déconne ?

juju666 · Answer

bah ouais regarde le rapport :

Crash Time : 22/04/2011 15:33:49 
Caused By Driver : aswSP.SYS 
File Description : avast! self protection module

sysyl19 · Answer

Ah ok...

sysyl19 · Answer

C'est désinstallé

juju666 · Answer

redémarre et dis moi si tu as toujours un BSOD ^^

sysyl19 · Answer

Bah pas pour l'instant

juju666 · Answer

ouais donc c'est avast qui merde sur ton ordi ^^
déjà que je l'aime pas cet antivirus, il descend encore dans mon estime :p

bref, on termine le nettoyage :

&#9654  Télécharge de AD-Remover sur ton Bureau. (TeamXScript) 

http://www.teamxscript.org/adremoverTelechargement.html ( Lien officiel ) 
OU 
https://www.androidworld.fr/ ( Miroir ) 

/!\ Ferme toutes applications en cours /!\ 

&#9654 Double-clique sur l'icône Ad-remover située sur ton Bureau. 
&#9654 Sur la page, clique sur le bouton « Scanner » 
&#9654 Confirme lancement du scan 
&#9654 Laisse travailler l'outil. 
&#9654 Poste le rapport qui apparaît à la fin. 

(Le rapport est sauvegardé aussi sous C:\Ad-Report-SCAN[1].txt) 

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

sysyl19 · Answer

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 16:34:00 le 23/04/2011, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
acer@PC-DE-ACER (Acer Aspire 3100) 
 
============== RECHERCHE ==============


Fichier trouvé: C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar
Dossier trouvé: C:\Users\acer\AppData\Roaming\Messenger
Dossier trouvé: C:\Program Files\Ask.com
Dossier trouvé: C:\Users\acer\AppData\LocalLow\AskToolbar
Dossier trouvé: C:\Users\acer\AppData\Roaming\AdVantage

Clé trouvée: HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé trouvée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé trouvée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé trouvée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé trouvée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé trouvée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé trouvée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
Clé trouvée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
Clé trouvée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
Clé trouvée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé trouvée: HKCU\Software\Ask.com
Clé trouvée: HKCU\Software\AppDataLow\AskToolbarInfo
Clé trouvée: HKCU\Software\AppDataLow\Software\AskToolbar
Clé trouvée: HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé trouvée: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé trouvée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé trouvée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé trouvée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé trouvée: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar

Valeur trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\post platform|AskTB5.5
Valeur trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Run|AdVantage
Valeur trouvée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
Valeur trouvée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

**** Internet Explorer Version [7.0.6002.18005] ****

HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Start Page - hxxp://www.google.fr/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKLM_Main|Default_Search_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440} (C:\Program Files\Ask.com\GenericAskToolbar.dll)
HKLM_Toolbar|{8E5E2654-AD2D-48bf-AC2D-D17F00898D06} (C:\Program Files\Alwil Software\Avast5\aswWebRepIE.dll) (x)
HKLM_Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440} (C:\Program Files\Ask.com\GenericAskToolbar.dll)
HKCU_ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A} - C:\Program Files\Ask.com\SaUpdate.exe (?)
HKLM_ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A} - C:\Program Files\Ask.com\SaUpdate.exe (?)
BHO\{8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - "avast! WebRep" (C:\Program Files\Alwil Software\Avast5\aswWebRepIE.dll) (x)
BHO\{D4027C7F-154A-4066-A1AD-4243D8127440} - "Ask Toolbar" (C:\Program Files\Ask.com\GenericAskToolbar.dll)

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 1 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 23/04/2011 16:34:21 (4662 Octet(s)) 

Fin à: 16:35:39, 23/04/2011 
 
============== E.O.F ==============

juju666 · Answer

c est ok tu peux lancer le nettoyage avec ad-remover 
laisse le pc redémarrer et poste moi le rapport stp (s'il ne passe pas sur le forum [titre du message non renseigné] héberge sur cijoint C:\AD-Report[CLEAN]1.txt)

==================

Après redémarrage donc :

&#9654 Télécharge UsbFix (TeamXScript) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement. 

&#9654  Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...)  sans les ouvrir  

&#9654 Vista/Seven : Clic droit sur UsbFix > Exécuter en tant qu'administrateur, l'installation se fera automatiquement 
              XP : double clic sur UsbFix

&#9654 Clique sur "Recherche" 

&#9654 Laisse travailler l'outil 

&#9654 A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur) 

&#9654 Aide en images : Tutoriel "Recherche"

sysyl19 · Answer

Pourquoi je doit mettre mes USBs et mes DDexternes?

juju666 · Answer

car il y a des infections qui s'y trouvent

sysyl19 · Answer

ok

sysyl19 · Answer

C'est quoi USBfix?

PS:NOn, dsl j'avais pas vu

juju666 · Answer

un logiciel créé par la même équipe que le logiciel AD-Remover
par ailleurs, j'aimerai voir le rapport ad-remover ^^

sysyl19 · Answer

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 16:39:46 le 23/04/2011, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
acer@PC-DE-ACER (Acer Aspire 3100) 
 
============== ACTION(S) ==============


Fichier supprimé: C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar
Erreur suppression dossier: C:\Users\acer\AppData\Roaming\Messenger
Dossier supprimé: C:\Program Files\Ask.com
Dossier supprimé: C:\Users\acer\AppData\LocalLow\AskToolbar
Dossier supprimé: C:\Users\acer\AppData\Roaming\AdVantage

(!) -- Fichiers temporaires supprimés.


Clé supprimée: HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé supprimée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
Clé supprimée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé supprimée: HKCU\Software\Ask.com
Clé supprimée: HKCU\Software\AppDataLow\AskToolbarInfo
Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
Clé supprimée: HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Erreur suppression clé: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar

Valeur supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\post platform|AskTB5.5
Valeur supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Run|AdVantage
Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

**** Internet Explorer Version [7.0.6002.18005] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKLM_Toolbar|{8E5E2654-AD2D-48bf-AC2D-D17F00898D06} (C:\Program Files\Alwil Software\Avast5\aswWebRepIE.dll) (x)
BHO\{8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - "avast! WebRep" (C:\Program Files\Alwil Software\Avast5\aswWebRepIE.dll) (x)

========================================

C:\Program Files\Ad-Remover\Quarantine: 12 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 17 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 23/04/2011 16:40:06 (4361 Octet(s)) 
C:\Ad-Report-SCAN[1].txt - 23/04/2011 16:34:21 (4800 Octet(s)) 

Fin à: 16:42:08, 23/04/2011 
 
============== E.O.F ==============

juju666 · Answer

nickel en attente d'usbfix :)

je m'absente un peu no panic

sysyl19 · Answer

Il recherche mes USBs et DDexternes...
Une question comme ça, qu'est-ce que je prend comme antivirus maintenant? 0_o

sysyl19 · Answer

Il est à 28% et il ne bouge plus depuis plusieurs minutes, normal?

sysyl19 · Answer

############################## | UsbFix 7.044 | [Recherche]

Utilisateur: acer (Administrateur) # PC-DE-ACER [Acer Aspire 3100]
Mis à jour le 21/04/2011 par TeamXscript
Lancé à 17:02:17 | 23/04/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Mobile AMD Sempron(tm) Processor 3600+
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 7.0.6002.18005

Pare-feu Windows: Désactivé /!\
RAM -> 765 Mo 
C:\ (%systemdrive%) -> Disque fixe # 223 Go (89 Go libre(s) - 40%) [] # NTFS
D:\ -> CD-ROM
E:\ -> Disque amovible # 7 Go (105 Mo libre(s) - 1%) [] # FAT32
F:\ -> Disque fixe # 466 Go (291 Go libre(s) - 62%) [STOREX] # FAT32

################## | Éléments infectieux |


Présent! C:\Users\acer\AppData\Local\Temp\ir_ext_temp_0
Présent! C:\Windows\services.dll

################## | Registre |

Présent! HKCU\Software\Bifrost
Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools
Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives
Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives
Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Run|rkfree

################## | Mountpoints2 |


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

sysyl19 · Answer

Je m'absente un petit moment moi aussi

juju666 · Answer

Re,

Je te conseillerai un antivirus en temps voulu.

Tu peux relancer USBFix et cliquer sur Suppression. Laisse tes clés et HDD connectés, cela les vaccinera.

Poste moi le rapport; puis redémarre la machine et produit un nouveau rapport de diagnostic avec ZHPDiag que tu hébergera sur cijoint ou pjjoint.
Il me semble que j'avais vu un KeyLogger [enregistreur de frappe] que l'on éliminera. A l'issue de la désinfection, tu n'oublieras pas de changer TOUS tes mots de passes !

A+

sysyl19 · Answer

############################## | UsbFix 7.044 | [Suppression]

Utilisateur: acer (Administrateur) # PC-DE-ACER [Acer Aspire 3100]
Mis à jour le 21/04/2011 par TeamXscript
Lancé à 08:00:41 | 24/04/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Mobile AMD Sempron(tm) Processor 3600+
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 7.0.6002.18005

Pare-feu Windows: Activé
RAM -> 765 Mo 
C:\ (%systemdrive%) -> Disque fixe # 223 Go (116 Go libre(s) - 52%) [] # NTFS
D:\ -> CD-ROM
E:\ -> Disque amovible # 7 Go (105 Mo libre(s) - 1%) [] # FAT32
F:\ -> Disque fixe # 466 Go (291 Go libre(s) - 62%) [STOREX] # FAT32

################## | Éléments infectieux |


Supprimé! C:\Users\acer\AppData\Local\Temp\ir_ext_temp_0
Supprimé! C:\Windows\services.dll
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-51657724-1545939369-333480461-1000

sysyl19 · Answer

ZHPDiag:

https://pjjoint.malekal.com/files.php?id=ec8d6b12cd5119

juju666 · Answer

Hello,

C:\Users\acer\Desktop\DOOMBYRIPPER23FORWAWAMANIA\DOOM\Doom95.exe

banni ce genre de choses stp ...

===========================================

Relance ForceMove, colle ça dans le fichiers texte INSTRUCTIONS_SVP :

C:\Program Files\rkfree\rkfree.exe   
C:\ProgramData\rkfree    
C:\Windows\System32\drivers\KeenSense.sys   
C:\Windows\System32\drivers\ksdevice.sys   
C:\Documents and Settings\acer\Local Settings\Application Data\vghd    
C:\Users\acer\Appdata\Local\vghd

Puis ferme le fichier texte, accepte la modif'. Laisse bosser l'outil puis colle ici son rapport.

==========================================

&#9654 Télécharge Malwarebytes' Anti-Malware  et enregistre le sur ton bureau.  

&#9654 &#9654 Miroir 1 si inaccessible  

&#9654 &#9654 Miroir 2 si inaccessible 

&#9654 &#9654 /!\ Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »  

&#9654 Double clique sur le fichier téléchargé pour lancer le processus d'installation.  
&#9654 Dans l'onglet "mise à jour", clique sur le bouton Recherche de mise à jour  
&#9654 si le pare-feu demande l'autorisation de se connecter pour Malwarebytes, accepte  
&#9654  Une fois la mise à jour terminée  
&#9654 rends-toi dans l'onglet Recherche 
&#9654 Sélectionne Exécuter un examen complet 
&#9654 Clique sur Rechercher  
&#9654 &#9654 Le scan démarre.  
&#9654 A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.  
&#9654 Clique sur Ok pour poursuivre.  
&#9654 Si des malwares ont été détectés, cliques sur Afficher les résultats 
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection . Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.  
&#9654 Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller) 

&#9654 &#9654  Il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!  
&#9654 Une fois le PC redémarré, rends toi dans l'onglet rapport/log  
&#9654 Tu clique dessus pour l'afficher, une fois affiché  
&#9654 Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller) 

Si tu as besoin d'aide regarde ce tutoriel :  
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/   

&#9654 &#9654 Si tu n'arrive pas à le mettre à jour, télécharge ce fichier , ferme MBAM, et exécute le

juju666 · Answer

Désactive ton antivirus car l'outil est détecté à tort comme infectieux 

Télécharge ForceMove de Juju666    

Exécute le.  
Colle ça dans le fichier texte INSTRUCTIONS_SVP qui s'ouvre:    


C:\Program Files\rkfree\rkfree.exe
C:\ProgramData\rkfree
C:\Windows\System32\drivers\KeenSense.sys
C:\Windows\System32\drivers\ksdevice.sys
C:\Documents and Settings\acer\Local Settings\Application Data\vghd
C:\Users\acer\Appdata\Local\vghd 


Ferme le fichier texte. Accepte la modification par Oui.    

Une infobulle t'avertira que tout sera fermé. Accepte par Ok    

Poste le contenu du rapport qui s'ouvrira à terme  (s'il ne s'ouvre pas, il se trouve à C:\forcemovelog.txt)  

Si ton bureau ne réapparait pas fais ceci :
Ctrl + Alt + Delete > Fichier > Nouvelle tache > Exécuter > tape explorer.exe et valide

sysyl19 · Answer

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6433

Windows 6.0.6002 Service Pack 2
Internet Explorer 7.0.6002.18005

24/04/2011 15:57:10
mbam-log-2011-04-24 (15-57-10).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 147784
Temps écoulé: 1 heure(s), 30 minute(s), 33 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
c:\program files\rkfree\rkfree.exe (Keylogger.Logixoft) -> 260 -> Failed to unload process.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\rkfree (Keylogger.Logixoft) -> Value: rkfree -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\{EC4F395A-47AF-838B-17E3-B53425881D25} (Backdoor.Agent) -> Value: {EC4F395A-47AF-838B-17E3-B53425881D25} -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\{EC4F395A-47AF-838B-17E3-B53425881D25} (Backdoor.Agent) -> Value: {EC4F395A-47AF-838B-17E3-B53425881D25} -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\program files\rkfree\rkfree.exe (Keylogger.Logixoft) -> Delete on reboot.

sysyl19 · Answer

Si possible (comme je l'ai dit plus haut), je voudrai supprimer vghd.
Voila le rapport:


########## ForceMove de Juju666 
version 1.0.0.4 du 18 avril 2011 | Mis à jour le 18 avril 2011 à 23:48 par Juju666 
Windows Vista (TM) Home Premium [6002.18327.x86fre.vistasp2_gdr.101014-0432] 
Démmarage à 16:03:36  
 
##### Arrêt des processus 
ArrÛtÚ : PID 1616 'explorer.exe'  
ArrÛtÚ : PID 1616 'explorer.exe'  
ArrÛtÚ : PID 2872 'safari.exe'  
 
 
##### Fichiers|Dossiers 
  
Absent !!! : "C:\Program Files\rkfree\rkfree.exe"   
Absent !!! : "C:\Documents and Settings\acer\Local Settings\Application Data\vghd"   
Absent !!! : "C:\Users\acer\Appdata\Local\vghd    "   
 
Mis en quarantaine et supprimé ! : C:\ProgramData\rkfree  
Mis en quarantaine et supprimé ! : C:\Windows\System32\drivers\KeenSense.sys  
Mis en quarantaine et supprimé ! : C:\Windows\System32\drivers\ksdevice.sys  
  
  
########## Terminé avec succès à 16:05:43  
  
########## ( EOF )

juju666 · Answer

bah regarde :

Absent !!! : "C:\Documents and Settings\acer\Local Settings\Application Data\vghd"

sysyl19 · Answer

Et j'ai vu que dans C:/, il y a plein de trucs qui se sont créés par ex: ProgramData, Usbfix...

juju666 · Answer

refais un rapport zhpdiag qu'on finalise :o)

rapport à héberger comme d'hab'

sysyl19 · Answer

https://pjjoint.malekal.com/files.php?id=afe555215a8813

juju666 · Answer

&#9654 Rentre dans ton panneau de configuration....       
&#9654 Apparence et personnalisation...       
&#9654 Option des dossiers...(double cliquer dessus)       
&#9654 Dans l'onglet affichage un peu plus bas où il est indiqué "Afficher les dossiers et fichiers cachés": Coche cette option    
&#9654 Encore plus bas : Masquer les fichiers protégés du système d'exploitation (recommandé) : à décocher.    

&#9654 &#9654 ensuite rends toi sur ce lien:    
https://www.virustotal.com/gui/    

(si virustotal ne fonctionne pas: https://virusscan.jotti.org/fr   


&#9654 Là où il est indiqué "envoyer le fichier", Clique sur "parcourir"    
recherche les entrées suivante dans ton disque :    


C:\Windows\qservice.exe


&#9654 Si une fenêtre apparait disant, "Le fichier à déjà été Analysé", Alors clique sur Réanalyser le fichier maintenant    

&#9654 Copie et colle le lien de ta barre d'adresse ici, après que l'analyse soit terminée     

====================

&#9654 Copie tout le texte présent dans la balise code ci-dessous ( tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )   


[HKCU\Software\Bifrost]    
[HKCU\Software\Totem]  
O43 - CFD: 24/04/2011 - 15:59:58 - [0] ----D- C:\Program Files\rkfree 
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe    
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe 



&#9654 Puis Lance ZHPFix depuis le raccourci du bureau .  

&#9654 Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .  

&#9654 Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .  

&#9654 Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.  

&#9654 Clique sur le bouton « GO » pour lancer le nettoyage

&#9654 Copie/Colle le rapport à l'écran dans ton prochain message  

&#9654 (le rapport se trouve aussi dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport.txt)   

&#9654 Redémarre ton ordinateur, refais une analyse avec ZHPDiag et héberge son rapport

juju666 · Answer

on va voir ...

 Désactive ton antivirus car l'outil est détecté à tort comme infectieux 

Télécharge ForceMove de Juju666    

Exécute le.  
Colle ça dans le fichier texte INSTRUCTIONS_SVP qui s'ouvre:    


C:\Windows\qservice.exe


Ferme le fichier texte. Accepte la modification par Oui.    

Une infobulle t'avertira que tout sera fermé. Accepte par Ok    

Poste le contenu du rapport qui s'ouvrira à terme  (s'il ne s'ouvre pas, il se trouve à C:\forcemovelog.txt)  

Si ton bureau ne réapparait pas fais ceci :
Ctrl + Alt + Delete > Fichier > Nouvelle tache > Exécuter > tape explorer.exe et valide

-> zippe le dossier C:\ForceMove\Quarantine [clic droit > envoyer vers > dossier compressé] et envoie zip sur ce site : http://upload.malekal.com/

d'après bleepingcomputer c'est un fichier malveillant ton qservice.

sysyl19 · Answer

########## ForceMove de Juju666 
version 1.0.0.4 du 18 avril 2011 | Mis à jour le 18 avril 2011 à 23:48 par Juju666 
Windows Vista (TM) Home Premium [6002.18327.x86fre.vistasp2_gdr.101014-0432] 
Démmarage à 17:15:11  
 
##### Arrêt des processus 
ArrÛtÚ : PID 2220 'explorer.exe'  
ArrÛtÚ : PID 2220 'explorer.exe'  
ArrÛtÚ : PID 2220 'explorer.exe'  
ArrÛtÚ : PID 3368 'safari.exe'  
ArrÛtÚ : PID 3368 'safari.exe'  
ArrÛtÚ : PID 3368 'safari.exe'  
 
 
##### Fichiers|Dossiers 
  
Absent !!! : "C:\Windows\qservice.exe   "   
 
  
  
########## Terminé avec succès à 17:15:36  
  
########## ( EOF )

juju666 · Answer

ben il existe plus en effet.

sysyl19 · Answer

Alors, qu'est-ce que je fait?

sysyl19 · Answer

Rapport de ZHPFix 1.12.3278 par Nicolas Coolman, Update du 21/04/2011
Fichier d'export Registre : 
Run by acer at 24/04/2011 17:39:10
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
HKCU\Software\Bifrost  => Clé supprimée avec succès
HKCU\Software\Totem  => Clé non supprimée

========== Valeur(s) du Registre ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur supprimée avec succès
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur absente

========== Dossier(s) ==========
C:\Program Files\rkfree  => Supprimé et mis en quarantaine


========== Récapitulatif ==========
2 : Clé(s) du Registre
2 : Valeur(s) du Registre
1 : Dossier(s)


End of the scan

sysyl19 · Answer

https://pjjoint.malekal.com/files.php?id=605798452114515

juju666 · Answer

refais la manip' zhpfix avec ça :
O53 - SMSR:HKLM\...\startupreg\qservices  [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\qservice.exe

sysyl19 · Answer

Rapport de ZHPFix 1.12.3278 par Nicolas Coolman, Update du 21/04/2011
Fichier d'export Registre : 
Run by acer at 24/04/2011 17:58:53
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
O53 - SMSR:HKLM\...\startupreg\qservices [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\qservice.exe  => Clé supprimée avec succès

========== Fichier(s) ==========
c:\windows\qservice.exe  => Fichier absent


========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Fichier(s)


End of the scan

juju666 · Answer

nickel :o)

&#9654 Télécharge ici : PureRa (par l'editeur de JavaRa)

&#9654 Lance-le (clic droit "executer en tant qu'administrateur" pour Vista/7)

=> Configuration en vidéo ( merci gen-hackman )

&#9654 clique sur "Clean"

&#9654 L'outil va faire son scan puis son nettoyage

&#9654 à la fin du rapport tu auras une ligne comme ca :

Total space cleaned: 8140878 bytes

&#9654 transmets juste cette ligne , le reste importe peu 

------

&#9654 télécharge Ccleaner et enregistre le sur le bureau 

&#9654 double-clique sur le fichier pour lancer l'installation 

/!\Utilisateur de Vista et windows 7 : Clique droit sur le logo de Ccleaner, « exécuter en tant qu'administrateur » 

&#9654 sur la fenêtre de l'installation langage bien choisir français et OK 
&#9654 clique sur suivant 
&#9654 lis la licence et j'accepte 
&#9654 cliques sur suivant 
&#9654 là tu ne gardes de coché que "mettre un raccourci sur le bureau" et puis "contrôler automatiquement les mises à jour de Ccleaner "
&#9654 cliques sur installer 
&#9654 cliques sur fermer 
&#9654 double-cliques sur l'icône de Ccleaner pour l'ouvrir 
&#9654 &#9654 une fois ouvert tu cliques sur option et puis avancé 
&#9654 tu décoches "effacer uniquement les fichiers du dossier temp de windows plus vieux que 24 heures "
&#9654 &#9654 cliques sur nettoyeur 
&#9654 cliques sur windows et dans la colonne avancé 
&#9654 coches la première case "vieilles données du perfetch" 
&#9654 cliques sur analyse une fois l'analyse terminé 
&#9654 cliques sur "lancer le nettoyage" et sur la demande de confirmation "OK" &#9654 &#9654 cliques maintenant sur registre et puis sur "rechercher les erreurs "
&#9654 laisses tout cochées et cliques sur "réparer les erreurs sélectionnées" 
&#9654 il te demande de sauvegarder ==> OUI 
&#9654 tu lui donnes un nom pour pouvoir la retrouver et enregistre 
&#9654 cliques sur "corriger toutes les erreurs sélectionnées" et sur la demande de confirmation ==> OK 
&#9654 Vérifie qu'il ne reste plus rien en relançant "rechercher les erreurs" 
&#9654 tu retournes dans option et tu recoches la case "effacer uniquement les fichiers du dossier temp de windows plus vieux que 24 heures" et sur nettoyeur  windows, sous avancé, tu décoches la première case "vieilles données du perfetch" 
&#9654 tu peux fermer Ccleaner 

------ 

Fais une recherche des erreurs de disque :
ouvre Ordinateur/Poste de travail => clic droit sur C: => propriétés => outils => Vérification des erreurs cliquez sur vérifier maintenant. Ensuite cochez les deux cases puis cliquez sur démarrer. Répondez oui pour le message d'avertissement et redémarrez votre système.

------

Défragmente tes disque dur :
Télécharge Deffragler, et défragmente tes 2 disques. 

------

&#9654 Désactivation, puis Réactivation de la restauration système après désinfection : 

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés : 

XP/Vista : http://www.forum-fec.net/t97-purger-la-restauration-du-systeme
Seven: http://www.forum-fec.net/faq-tutoriel-astuces-f10/purger-la-restauration-du-systeme-sous-windows-7-t142.htm

------ 

Mise à jour Windows : 

Windows Update XP (uniquement avec Internet Explorer): http://update.microsoft.com/windowsupdate/v6/thanks.aspx?ln=fr&&thankspage=5

Windows Update Vista/Seven : cliquer sur le logo windows, dans la rechercher taper "Windows Update", cliquer sur le résultat.

-----

&#9654 Mets à jour Java : https://www.java.com/fr/download/uninstalltool.jsp  

&#9654 Désinstaller les anciennes versions de Java :  

&#9654 Télécharge JavaRa.zip  

&#9654 Décompresse le fichier sur ton bureau (clique droit > Extraire tout.)  

&#9654 Double-clique sur le répertoire JavaRa obtenu.  

&#9654 Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher)  

&#9654 Clique sur Remove Older Versions.  

&#9654 Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok.  

&#9654 Un rapport va s'ouvrir, copie-colle le dans ta prochaine réponse.  

&#9654 Note : le rapport se trouve aussi là : ( C:\JavaRa.log )  

&#9654 Tu peux fermer l'application   

&#9654 &#9654 Met à jour Adobe : 

&#9654 Reader : https://get2.adobe.com/fr/reader/otherversions/
&#9654 &#9654 Décocher le scan Macàfric

&#9654 Flash Player: https://get.adobe.com/flashplayer/?loc=fr

-----

&#9654 &#9654 pour supprimer les outils de désinfection :

&#9654 Télécharge Delfix sur ton bureau : 

&#9654 Clique sur le bouton « Suppression » et poste son rapport sur ton prochain message 
&#9654 &#9654 Pour le désinstaller, il suffit de le relancer et cliquer sur le bouton de désinstallation. 

------ 

Tu peux garder Malwarebytes pour un scan de temps à autres 

----- 

Tu peux lire ce sujet sur les logiciels recommandés, et les attitudes responsables sur le web 
Et celui ci, sur les logiciels gratuits à éviter 

------ 

&#9654 &#9654 Pense à marquer le fil comme résolu  

------ 

Si tu as d'autres questions, je t'écoute avec plaisir :)

@+

juju666 · Answer

au fait c est quoi le mot de passe que tu as mis au fichier Quarantine.zip.zip ?

sysyl19 · Answer

Total space cleaned: 319725440 bytes

sysyl19 · Answer

Je n'ai pas mis de mot de passe au .zip

juju666 · Answer

arf :-\

sysyl19 · Answer

Tu le veux pas zippé?

sysyl19 · Answer

# DelFix v7.7B - Rapport créé le 25/04/2011 à 17:46
# Mis à jour le 15/04/11 à 19h30 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium (32 bits) [version 6.0.6002] Service Pack 2
# Nom d'utilisateur : acer - PC-DE-ACER (Administrateur)
# Exécuté depuis : C:\Users\acer\AppData\Local	emp\dt3ao8la.tmp\DelFix.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

-> C:\Qoobox\BackEnv ... ACL modifié avec succès.
Supprimé : C:\Qoobox
Supprimé : C:\USBFix
Supprimé : C:	dsskiller
Supprimé : C:\Program Files\Ad-Remover
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\UsbFix.txt
Supprimé : C:\Ad-Report-CLEAN[1].txt
Supprimé : C:\Ad-Report-SCAN[1].txt
Supprimé : C:\TDSSKiller.2.4.21.0_19.03.2011_15.15.15_log.txt
Supprimé : C:\TDSSKiller.2.4.21.0_23.04.2011_14.30.04_log.txt
Supprimé : C:\TDSSKiller.2.4.21.0_23.04.2011_14.31.42_log.txt
Supprimé : C:\ZHPExportRegistry-24-04-2011-17-39-10.txt
Supprimé : C:\ZHPExportRegistry-24-04-2011-17-58-53.txt
Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\Windows\grep.exe
Supprimé : C:\Windows\PEV.exe
Supprimé : C:\Windows\NIRCMD.exe
Supprimé : C:\Windows\MBR.exe
Supprimé : C:\Windows\sed.exe
Supprimé : C:\Windows\SWREG.exe
Supprimé : C:\Windows\SWSC.exe
Supprimé : C:\Windows\SWXCACLS.exe
Supprimé : C:\Windows\zip.exe
Supprimé : C:\Users\acer\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\acer\Desktop\ZHPDiag.txt
Supprimé : C:\Users\acer\Desktop\ZHPFixReport.txt

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\SOFTWARE\Ad-Remover
Clé Supprimée : HKCU\SOFTWARE\USBFix
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\USBFix
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
ACL [0] -> [7] & Clé Supprimée : HKLM\SOFTWARE\Swearware

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [2234 octets] ##########

juju666 · Answer

Non c est bon, pas de soucis :)

Prudence et bon surf !!

sysyl19 · Answer

Merci Beaucoup (vraiment merci, tu m'a fait éviter d'aller chez le réparateur ;) )

Problème Vista

67 réponses

Discussions similaires

Newsletters